(Translated by https://www.hiragana.jp/)
SecurityToolの人気記事 45件 - はてなブックマーク

検索けんさく対象たいしょう

並ならび順じゅん

ブックマーク数すう

期間きかん指定してい

  • から
  • まで

1 - 40 件けん / 45件けん

新着しんちゃく順じゅん 人気にんき順じゅん

SecurityToolの検索けんさく結果けっか1 - 40 件けん / 45件けん

SecurityToolに関かんするエントリは45件けんあります。 security、 セキュリティ、 github などが関連かんれんタグです。 人気にんきエントリには 『GitHub - Bad Todo 非常ひじょうに多種たしゅの脆弱ぜいじゃく性せいを含ふくむ診断しんだん実習じっしゅうやられアプリ』などがあります。

  • GitHub - Bad Todo 非常ひじょうに多種たしゅの脆弱ぜいじゃく性せいを含ふくむ診断しんだん実習じっしゅうやられアプリ

    You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

      GitHub - Bad Todo 非常に多種の脆弱性を含む診断実習やられアプリ

    • セキュリティツールの評価ひょうかは難むずかしい - knqyf263's blog

      前まえから思おもってたことをちょっと書かかずにいられなくなったのでポエムを書かきました。 背景はいけい 問題もんだい 検知けんちしている方ほうが正ただしいように見みえがち 条件じょうけんを揃そろえるのが難むずかしい 環境かんきょうの再現さいげんが難むずかしい 検知けんち数すうが多おおい方ほうが良よさそうに見みえる 正解せいかいかどうかの判断はんだんが難むずかしい カバー範囲はんいの正確せいかくな見極みきわめが難むずかしい 検知けんちされないほうが嬉うれしい まとめ 背景はいけい お前まえ誰だれだよってなるかもしれないので書かいておくと、Trivyという脆弱ぜいじゃく性せいスキャナーのメンテナをやっています。 github.com とある有名ゆうめいな方ほうによる以下いかのツイートがありました。 I just discovered, during @cloudflare #SecurityWeek no less, that Trivy (the vuln scanner) doesn't detect known issues in Alpine images. Including a critica

        セキュリティツールの評価は難しい - knqyf263's blog

      • 高校こうこう2年生ねんせいが開発かいはつしたWindows専用せんよう脆弱ぜいじゃく性せいスキャナー「DetExploit」がリリース／オープンソースで開発かいはつ。今後こんごはアドオンによる拡張かくちょうや自動じどう更新こうしん機能きのうも

          高校2年生が開発したWindows専用脆弱性スキャナー「DetExploit」がリリース／オープンソースで開発。今後はアドオンによる拡張や自動更新機能も

        • AWS WAFを完全かんぜんに理解りかいする ~WAFの基礎きそからv2の変更へんこう点てんまで~ | DevelopersIO

          こんにちは、臼田うすだです。 皆みなさん、WAFWAFしてますか？(挨拶あいさつ 今回こんかいはタイトル通どおりAWS WAFを完全かんぜんに理解りかいするための情報じょうほうを全部ぜんぶ詰つめ込こんだブログです。長ながいです。 そもそもWAFってなんだっけ？という話はなしから初はじめて「全部ぜんぶ理解りかいした」と言いえるようになるまでをまとめています。直近ちょっきんAWS WAF v2がリリースされたため、この変更へんこう点てんを中心ちゅうしんに機能きのうの説明せつめいをします。 Developers.IOではWAFを扱あつかった記事きじがたくさんあるので、細こまかいところはブログを引用いんようします。いわゆる元気げんき玉だまブログです。 おさらい的てきな部分ぶぶんも多おおいので変更へんこう点てんが気きになる方ほうは適当てきとうに飛とばしてください。 そもそもWAFとは AWS WAFの前まえにWAFの話はなしをします。WAFはWeb Application Firewallの略りゃくでWebアプリケーションを保護ほごするためのソリューションです。 一般いっぱん的てきなWebアプリケーションに対たいする攻撃こうげき手法しゅほうとしてSQLインジ

            AWS WAFを完全に理解する ~WAFの基礎からv2の変更点まで~ | DevelopersIO

          • コンテナ・セキュリティ入門にゅうもん 脆弱ぜいじゃく性せい - Qiita

            コンテナイメージのレジストリでは、脆弱ぜいじゃく性せい検査けんさの実装じっそうが当あたり前まえになっている。企業きぎょうでKubernetesなどコンテナを使用しようするにあたって脆弱ぜいじゃく性せい対策たいさくがどれほど重要じゅうようなものか理解りかいするために、脆弱ぜいじゃく性せい検査けんさや、関連かんれんする国際こくさい的てきな標準ひょうじゅんについて整理せいりした。 脆弱ぜいじゃく性せい（ぜいじゃくせい）とは 脆弱ぜいじゃく性せいとは、プログラムの動作どうさの不備ふびを悪用あくようされる情報じょうほうセキュリティ上じょうの弱点じゃくてんである。つまり、ソフトウェア上じょうの問題もんだいが原因げんいんとなって生しょうじた欠陥けっかんであり、セキュリティホールとも呼よばれる。当然とうぜん、ソフトウェア開発かいはつ者しゃは、脆弱ぜいじゃく性せいを産うまないように細心さいしんの注意ちゅういを払はらってコード開発かいはつを進すすめるが、開発かいはつ者しゃが利用りようするオペレーティングシステムのライブラリやパッケージに含ふくまれることもある。そのような事情じじょうから、開発かいはつ者しゃの責任せきにん範囲はんい外がいに原因げんいんがある場合ばあいも多おおくある。 潜在せんざい的てきな脆弱ぜいじゃく性せいを突ついた新あらたなクラッキングの手口てぐちが、時間じかんの経過けいかともに発見はっけんされる。そのことから、開発かいはつ当初とうしょはコードに脆弱ぜいじゃく性せいは無ない

              コンテナ・セキュリティ入門 脆弱性 - Qiita

            • WiresharkのDissectorを使つかった独自どくじプロトコル解析かいせきをやさしく解説かいせつしてみました

              本稿ほんこうでは、基本きほん的てきなDissectorの作つくり方かたと、Dissectorを活用かつようしたパケット解析かいせき方法ほうほうを紹介しょうかいします。 WiresharkのDissectorをご存知ぞんじでしょうか？DissectorはWiresharkのプロトコル解析かいせき部分ぶぶんで、バイト列れつを人ひとが理解りかいできる内容ないように変換へんかんし表示ひょうじしてくれます。 Wiresharkを使つかった事ことがある方ほうなら、独自どくじプロトコルのバイト列れつを人ひとが理解りかいできる表示ひょうじにできないかなぁと思おもった経験けいけんがあると思おもいます。 Dissectorを自作じさくしPluginとして追加ついかすると独自どくじプロトコル解析かいせきが容易よういになります。 なぜ今こんDissectorを紹介しょうかいするの？ 技術ぎじゅつ部ぶの安井やすいです。　長年ながねん、制御せいぎょシステムを開発かいはつした経験けいけんから、現在げんざいは制御せいぎょシステムセキュリティを見みています。 現在げんざい、世よの中なかの多おおくのプロトコルに対応たいおうしたDissectorがWiresharkに搭載とうさいされています。しかし、制御せいぎょシステムやIoT機器ききなど独自どくじプロトコ

                WiresharkのDissectorを使った独自プロトコル解析をやさしく解説してみました

              • Microsoft、ソースコード解析かいせきツール「Microsoft Application Inspector」をオープンソースで公開こうかい

                「Microsoft Application Inspector」は、ソースコードにおける暗号あんごう化かやリモートのエンティティへの接続せつぞく、実行じっこうされるプラットフォームといった挙動きょどうを見みつけられるツールで、複雑ふくざつなプログラミング手法しゅほうの検出けんしゅつや、人間にんげんでは見みつけにくいプログラムの挙動きょどうを特定とくていできる。 大だい規模きぼなプログラムの解析かいせきも可能かのうで、複数ふくすうの異ことなるプログラミング言語げんごによって構成こうせいされた、数すう百ひゃく万まん行ぎょうにも及およぶソースコードの解析かいせきにも対応たいおうしている。 「Microsoft Application Inspector」を使用しようすれば、コンポーネントのバージョン間あいだでの機能きのう変更へんこうも識別しきべつできるため、バックドアの検出けんしゅつに役立やくだつ。さらに、リスクの高たかいコンポーネントや、追加ついかの精査せいさが必要ひつようなコンポーネントの特定とくていにも使つかえる。 検査けんさ結果けっかは、JSONやインタラクティブHTMLを含ふくむ複数ふくすうの形式けいしきでレポートを生成せいせい可能かのうで、ソースコードから特定とくていされた機能きのうが一覧いちらん表示ひょうじされ

                  Microsoft、ソースコード解析ツール「Microsoft Application Inspector」をオープンソースで公開

                • 早はやめ早はやめの脆弱ぜいじゃく性せい対策たいさく！ 開発かいはつチームでできるアプリとサーバのセキュリティ診断しんだんと要件ようけん定義ていぎの作つくり方かた｜ハイクラス転職てんしょく・求人きゅうじん情報じょうほうサイト AMBI（アンビ）

                  早はやめ早はやめの脆弱ぜいじゃく性せい対策たいさく！ 開発かいはつチームでできるアプリとサーバのセキュリティ診断しんだんと要件ようけん定義ていぎの作つくり方かた Webセキュリティ対策たいさくはなにかと面倒めんどうですが、昨今さっこんはフレームワークが脆弱ぜいじゃく性せいに対応たいおうするなど、プログラミングは効率こうりつ的てきになっています。その上うえでサービス全体ぜんたいの安全あんぜんのため、開発かいはつチームがすぐ実施じっしできるWebセキュリティ診断しんだんと要件ようけん定義ていぎについて解説かいせつします。 こんにちは、松本まつもと（@ym405nm）です。 みなさんは業務ぎょうむやコミュニティ、趣味しゅみなどでWebサイト作つくってますか？ SEO対策たいさく、ユーザビリティ、レスポンジブル、オートスケールなどなど、Webサイトを1つ作つくるだけでもさまざまな技術ぎじゅつや考かんがえ方かたが必要ひつようであり、非常ひじょうに奥深おくふかいものであるということは、このエンジニアHubの記事きじの多おおさが物語ものがたっているのではないでしょうか。 その中なかでもWebサイト開発かいはつ者しゃ・運用うんよう者しゃを悩なやませるのは、Webセキュリティです。この記事きじでは、開発かいはつフェーズから試ためすこと

                    早め早めの脆弱性対策！ 開発チームでできるアプリとサーバのセキュリティ診断と要件定義の作り方｜ハイクラス転職・求人情報サイト AMBI（アンビ）

                  • 「そのコンテナ、安全あんぜんですか？」〜AWS x DevSecOpsで実践じっせんするコンテナセキュリティ〜 / Is that container safe?

                    2020-10-20 AWS DevDay Online Japanでの登壇とうだん資料しりょうになります。 https://aws.amazon.com/jp/about-aws/events/2020/devday/ # AWSご担当たんとう者しゃ様さまより承諾しょうだく頂いただいた上うえでアップロードしています

                      「そのコンテナ、安全ですか？」〜AWS x DevSecOpsで実践するコンテナセキュリティ〜 / Is that container safe?

                    • GitHub - DeNA/PacketProxy: A local proxy written in Java

                      Full-featured local proxy tool Save all captured packets (i.e., requests and responses) and show them in the history tab Filter/Search packets in the history tab (e.g. requests==/api/v1/users to show only requests whose path contains /api/v1/users ) Modify the contents of intercepted packets before forwarding them to the destination Resend (or replay) captured packets with or without manually modi

                        GitHub - DeNA/PacketProxy: A local proxy written in Java

                      • Kali Linuxに(自分じぶんが)追加ついかしたいペネトレーションツール - 高林たかばやしの雑記ざっきブログ

                        先日せんじつ、VMware上じょうで動うごかしていたKali Linuxが突然とつぜんエラーで起動きどうできなくなりました。 コマンドラインだけならログインできるんですが、GUI操作そうさができず復旧ふっきゅうが絶望ぜつぼう的てきなので一いちからKali LinuxをInstallし直なおすことにしました。 その際さい、せっかくなので自分じぶんがVulnhubやHTBを攻略こうりゃくするうえで便利べんりだと思おもって使つかっていて、かつKali Linuxにデフォルトで入はいっていないけど有用ゆうようなツールをまとめたいと思おもいます。 完全かんぜんに個人こじんの意見いけんなので、参考さんこうまでにどうぞ！ ちなみに、niktoやgobusterといったツールはめちゃくちゃ使つかいますがデフォルトでInstallされているため省略しょうりゃくします。 Information Gatering AutoRecon onetwopunch Parsero smbver.sh FindSMB2UPTime.py impacket oracle(sqlpl

                          Kali Linuxに(自分が)追加したいペネトレーションツール - 高林の雑記ブログ

                        • Open Source Insights

                          • Microsoft Defenderを眺ながめてると「もう全部ぜんぶあいつ一人ひとりでいいんじゃないかな」という気分きぶんになる

                            はじめに 先日せんじつのIgniteでまたもやMicrosoftのセキュリティ製品せいひんの名称めいしょうが代かわりました。今年ことしに入はいって、2回かい！！ ただ、今回こんかいの名称めいしょう変更へんこうはAzureと言いう名前なまえをMicrosoftと変かえる事ことで 「Azureに限定げんていした製品せいひんではなくハイブリッドクラウド/マルチクラウド対応たいおう」 という点てんを強つよく押おし出だした意図いとも想像そうぞうできます。最近さいきんのMSのセキュリティ製品せいひんは例たとえばEDRもMacやLinux, Android/iOSに対応たいおうしていますし、マルチクラウドをサポートしているものも多おおいので、自分じぶんの整理せいりを兼かねてまとめてみました。全体ぜんたい的てきにここ最近さいきん名称めいしょう変更へんこうが入はいってるので旧きゅう名称めいしょうも入いれています。 Microsoft Defender + αあるふぁの一覧いちらん Windowsの固有こゆうの機能きのうから、独立どくりつしたエンドポイントセキュリティ製品せいひん、サーバサイドの製品せいひんまでMicrosoft Defender の名前なまえが使つかわれてるので知しらないとちょっとやや

                              Microsoft Defenderを眺めてると「もう全部あいつ一人でいいんじゃないかな」という気分になる

                            • GitHub - secretlint/secretlint: Pluggable linting tool to prevent committing credential.

                              You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

                                GitHub - secretlint/secretlint: Pluggable linting tool to prevent committing credential.

                              • ssh-keygenをブラウザだけでローカルで安全あんぜんに鍵かぎ生成せいせいするWebアプリ - nwtgck / Ryo Ota

                                このssh-keygenコマンドで生成せいせいされる公開こうかい鍵かぎと秘密ひみつ鍵かぎは一いち度どGitHubの設定せっていで登録とうろくすれば捨すてて良よいもの。だからファイルに保存ほぞんされずに生成せいせいされると手軽てがるさが増ますと思おもった。またssh-keygenコマンドがないと思おもわれるモバイル端末たんまつ上じょうや、個人こじん的てきにコマンドがあまり詳くわしくないWindows環境かんきょうなどでも常つねに生成せいせいされると嬉うれしい。そこでWebブラウザのローカルで安全あんぜんに鍵かぎ生成せいせいできるWebアプリがほしくなった。

                                • サーバーレスやられアプリを使つかった脆弱ぜいじゃく性せい診断しんだんハンズオン - Qiita

                                  セキュリティ診断しんだんのハンズオンなどの目的もくてきで、敢あえて脆弱ぜいじゃく性せいを残のこしているいわゆる”やられアプリ”。 元旦がんたんから何なにやってんだという感かんじはありますが、折角せっかく時間じかんがあるので兼かねてから攻略こうりゃくしたかった OWASP Serverless Goat をやっつけていきます。 OWASP Serverless Goat とは OWASP Serverless Goat はイスラエルのセキュリティスタートアップ PureSec が作成さくせいした The Ten Most Critical Risks for Serverless Applications v1.0 に基もとづいた、サーバーレスアプリケーション固有こゆうの脆弱ぜいじゃく性せいをわざと埋うめ込こんだ Web アプリケーションです。 以下いかの教育きょういく目的もくてきで作成さくせいされたものであり、それ以外いがいの目的もくてきで利用りようすることは望のぞましくありません。 開発かいはつ者しゃとセキュリティ担当たんとう者しゃに一般いっぱん的てきなサーバーレスアプリケーションレイヤ

                                    サーバーレスやられアプリを使った脆弱性診断ハンズオン - Qiita

                                  • ImHex：午前ごぜん3時じにがんばる人ひとのためのバイナリエディタ - setodaNote

                                    ImHex という Hex エディタを Ubuntu 20.04 にインストールしたときのメモ書がきです。 ImHex ImHex を Ubuntu 20.04 にインストールする ImHex の画面がめん設定せってい 動うごかしてみた感想かんそう 参考さんこう文献ぶんけん ImHex 公式こうしき cmake 周まわり 参考さんこうにしたトラブルシューティング 付録ふろく concepts が見みつけられないというエラーについて 「CMake Error at cmake/build_helpers.cmake:55」について 更新こうしん履歴りれき ImHex ImHex は2020年ねんの12月に公開こうかいされた比較的ひかくてき新あたらしい、午前ごぜん3時じにがんばる人ひとのための Hex エディタです。 *1 GitHub - WerWolv/ImHex: A Hex Editor for Reverse Engineers, Programmers and people that value thei

                                      ImHex：午前3時にがんばる人のためのバイナリエディタ - setodaNote

                                    • Blog｜Webセキュリティはどこから手てをつければよいのか？

                                      脆弱ぜいじゃく性せい診断しんだん、動的どうてきアプリケーションセキュリティテスト（DAST / Dynamic Application Security Testing）多おおくの方ほうが脆弱ぜいじゃく性せいを検出けんしゅつする方法ほうほうとして利用りようされているかと思おもいます。 脆弱ぜいじゃく性せい診断しんだんでは、Webアプリケーションに脅威きょういとなる擬似ぎじ攻撃こうげきの実施じっし、既知きちの脆弱ぜいじゃく性せいを行おこない、攻撃こうげき・悪用あくようできる脆弱ぜいじゃく性せい、情報じょうほう漏洩ろうえいに繋つながる恐おそれのある問題もんだい点てん（ロジック）を見みつけることができます。 メリット 緊急きんきゅう度どの高たかい脆弱ぜいじゃく性せいを洗あらい出だせる （診断しんだんサービスなどを利用りようすれば）セキュリティの知見ちけんがなくてもテスト可能かのう 網羅もうら的てき デメリット 診断しんだん自体じたいに時間じかんがかかる 問題もんだい箇所かしょを特定とくていしなければならず、修正しゅうせいが難むずかしい場合ばあいがある アプリケーションが動うごいていなければならず、脆弱ぜいじゃく性せいの作つくり込こみから修正しゅうせいまでの時間じかんが長ながい ソフトウェアコンポジション解析かいせき（SCA / Software Composition Analysis）近年きんねんOSS

                                        Blog｜Webセキュリティはどこから手をつければよいのか？

                                      • ポートスキャナ自作じさくではじめるペネトレーションテスト

                                        本書ほんしょは、ポートスキャンを用もちいて攻撃こうげき者しゃがネットワークを経由けいゆしてどのように攻撃こうげきしてくるのかを具体ぐたい的てきな手法しゅほうを交まじえて学まなび、攻撃こうげき手法しゅほうを知しることでセキュリティレベルの向上こうじょうを目指めざす書籍しょせきです。Scapyを用もちいてポートスキャナを自作じさくし、ポートスキャンの仕組しくみや動作どうさ原理げんりをしっかりと学まなびます。そのあとで、脆弱ぜいじゃく性せい診断しんだんやペネトレーションテストに不可欠ふかけつなNmap、Nessus、Metasploit Frameworkなどのツールについて解説かいせつします。ハンズオンで学習がくしゅうを進すすめながら徐々じょじょにステップアップしていける構成こうせいとなっています。攻撃こうげき者しゃ側がわの思考しこうプロセスを理解りかいし、対策たいさくを強化きょうかしましょう。付録ふろくではペンテスターのキャリア形成けいせい、関係かんけいの築きずき方かたなどにも触ふれ、著者ちょしゃの豊富ほうふな経験けいけんからのアドバイスを紹介しょうかいしています。 正誤せいご表ひょう ここで紹介しょうかいする正誤せいご表ひょうには、書籍しょせき発行はっこう後ごに気きづいた誤植ごしょくや更新こうしんされた情報じょうほうを掲載けいさいしています。以下いかのリストに記載きさいの年月としつきは、正誤せいご表ひょうを作さく

                                          ポートスキャナ自作ではじめるペネトレーションテスト

                                        • sigstoreによるコンテナイメージやソフトウェアの署名しょめい - knqyf263's blog

                                          恐おそろしく長ながい上うえに割わりと複雑ふくざつなので最後さいごまで読よむ人ひとはほとんどいないと思おもうのですが、将来しょうらい確実かくじつに忘わすれてしまう自分じぶんのために書かいたので別べつに悲かなしくありません。 まえがき 背景はいけい sigstoreの概要がいよう sigstoreを構成こうせいするツール群ぐん Cosign Rekor Fulcio 署名しょめい方法ほうほう コンテナイメージ 鍵かぎペアの生成せいせい 署名しょめい 検証けんしょう Blobs 鍵かぎペアの生成せいせい 署名しょめい 検証けんしょう 署名しょめいの仕組しくみ コンテナイメージ OCI Registryについて 署名しょめいの保存ほぞん先さき 署名しょめいフォーマット 署名しょめい検証けんしょう 検証けんしょうが不十分ふじゅうぶんな例れい Blobs 参考さんこう まとめ まえがき 鍵かぎの管理かんり不要ふようでソフトウェア署名しょめいを可能かのうにするKeyless Signingについて解説かいせつを書かこうと思おもい、まず前提ぜんてい知識ちしきを書かいていたら信しんじられないぐらい長ながくなったので前提ぜんてい知識ちしきだけで1つの記事きじになりました。 後述こうじゅつするsigstoreは急速きゅうそくに開発かいはつが進すすんでいるプロジェクトであり、ここで書かいている記述きじゅつ

                                            sigstoreによるコンテナイメージやソフトウェアの署名 - knqyf263's blog

                                          • DevelopersIO 2022にて「OSSで始はじめるコンテナセキュリティ」というタイトルで登壇とうだんしました #devio2022 | DevelopersIO

                                            コンサル部ぶのとばち（@toda_kk）です。 2022/7/26〜28に開催かいさいされた弊社へいしゃ主催しゅさいのオンラインイベントDevelopersIO 2022にて、「OSSで始はじめるコンテナセキュリティ」をテーマに登壇とうだんしました。 動画どうが 発表はっぴょう資料しりょう セッション概要がいよう 「コンテナセキュリティってなんかいろいろあるけど、結局けっきょくなにからやればいいの？」という方向ほうこうけに、コンテナセキュリティの全体ぜんたい像ぞうや概要がいようを解説かいせつしつつ、コンテナセキュリティに対応たいおうするためのOSSを紹介しょうかいするセッションです。 ざっくりとした内容ないよう OSSを用もちいることで気軽きがるにコンテナセキュリティを実現じつげんしてみよう、というテーマでお話はなししました。 コンテナセキュリティに関かんする概要がいようを、コンテナライフサイクルに沿そったリスクの評価ひょうかと対応たいおうという形かたちで整理せいりした上うえで、関連かんれんするAWSサービスと機能きのうを紹介しょうかいしました。 また、コンテナセキュリティのOSSツールとして、Kubernetesセキ

                                              DevelopersIO 2022にて「OSSで始めるコンテナセキュリティ」というタイトルで登壇しました #devio2022 | DevelopersIO

                                            • OSV - Open Source Vulnerabilities

                                              AlmaLinux 2722 View AlmaLinux vulnerabilities Alpine 3398 View Alpine vulnerabilities Android 881 View Android vulnerabilities Bitnami 3898 View Bitnami vulnerabilities crates.io 1348 View crates.io vulnerabilities Debian 9859 View Debian vulnerabilities GIT 32996 View GIT vulnerabilities Go 2151 View Go vulnerabilities Linux 13573 View Linux vulnerabilities Maven 4873 View Maven vulnerabilities n

                                              • GitHub - dstotijn/hetty: An HTTP toolkit for security research.

                                                You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

                                                  GitHub - dstotijn/hetty: An HTTP toolkit for security research.

                                                • アンチウイルス実験じっけん室しつ 〜⚗️マルウェア検知けんち実験じっけん🧪〜

                                                  アンチウイルスソフトって必要ひつようなの？とか、ちゃんと私わたしのこと守まもってくれるの？とか思おもわれたことはありますか。日常にちじょう的てきにアンチウイルスと対峙たいじしながら侵入しんにゅうテストをやっている者ものの目線めせんで、5 つのアンチウイルス製品せいひんに対たいしいろいろ実験じっけんした結果けっかを一般いっぱんの方向ほうこうけに解説かいせつしてみます。アンチウイルスに対たいするモヤッとした疑問ぎもんを少すこしでも解消かいしょうしていただけたら幸さいわいです。 はじめに 技術ぎじゅつ部ぶの松永まつながです。 本題ほんだいに入はいる前まえに、私わたしがアンチウイルスについて語かたる資格しかくがありそうか、簡単かんたんに自己じこ紹介しょうかいから始はじめたいと思おもいます。 私わたしはアンチウイルスの専門せんもん家かではなく、製品せいひんの開発かいはつや販売はんばい、評価ひょうかなどに関かかわったことはありません。サイバーディフェンス研究所けんきゅうじょ入社にゅうしゃから 10 年ねん、セキュリティテストに携たずさわっています。特とくに侵入しんにゅうテスト（ネットワークペネトレーションテスト）を主おも業務ぎょうむとするようになって 5 年ねん目めになりますが、私わたしが攻撃こうげきツールの研究けんきゅう開発かいはつを大だい好物こうぶつとしていることもあり、こ

                                                    アンチウイルス実験室 〜⚗️マルウェア検知実験🧪〜

                                                  • WPScanによる、WordPressの脆弱ぜいじゃく性せい診断しんだんの始はじめ方かた | さくらのナレッジ

                                                    WordPress のセキュリティ診断しんだんツール WPScan 近年きんねん、不正ふせいアクセスの増加ぞうかにより、セキュリティに対たいする関心かんしんも高たかまりつつあります。さくらインターネットでも Web改かいざん検知けんちサービス やSSLの契約けいやく数すうが伸のびてきているようですが、それでもやはり不正ふせいアクセスは絶たえないのが現状げんじょうです。 狙ねらわれるのはメールパスワード、そして WordPress さくらのレンタルサーバのサポート経験けいけん上じょう、しばしば目めにする不正ふせいアクセスは、メールパスワードの漏洩ろうえいによる大量たいりょうメール送信そうしんです。しかし、これは比較的ひかくてき対策たいさくが簡単かんたんです。意識いしきしてパスワードの管理かんりを行おこなっていれば、それでリスクの9割わり以上いじょうはなくなると思おもいます。 次つぎに多おおいのがWordPressの不正ふせいアクセスです。WordPressは世界せかいの1/3のサイトで使つかわれており、便利べんりで人気にんきがある反面はんめん、非常ひじょうに狙ねらわれやすいアプリケーションでもあります。 さくらのレンタルサーバのコラムにも

                                                      WPScanによる、WordPressの脆弱性診断の始め方 | さくらのナレッジ

                                                    • GitHub - google/tsunami-security-scanner: Tsunami is a general purpose network security scanner with an extensible plugin system for detecting high severity vulnerabilities with high confidence.

                                                      You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

                                                        GitHub - google/tsunami-security-scanner: Tsunami is a general purpose network security scanner with an extensible plugin system for detecting high severity vulnerabilities with high confidence.

                                                      • certutilコマンドの非公開ひこうかいなオプションを表示ひょうじする方法ほうほう - Eiji James Yoshidaの記録きろく

                                                        certutilコマンドの非公開ひこうかいなオプションを表示ひょうじする方法ほうほうを見みつけたというtweetがあったのでメモ。 Does `certutil -uSAGE` not work anymore? It's case sensitive btw ;) — Shawn (@dunarth) 2020年ねん3月がつ9日にち 前まえから気きにはなっていたので、凄すごく嬉うれしい情報じょうほう。 試ためしたところ、たしかに"certutil -?"では表示ひょうじされないオプションが沢山たくさん表示ひょうじされるね。 赤色あかいろのが"certutil -uSAGE"で表示ひょうじされる非公開ひこうかいなオプション。 C:\>certutil -uSAGE 動詞どうし: -dump -- 構成こうせい情報じょうほうまたはファイルをダンプします -dumpPFX -- PFX 構造こうぞうをダンプします -asn -- ASN.1 ファイルの解析かいせき -decodehex -- 16 進しんエンコード ファイルをデコードします -enco

                                                          certutilコマンドの非公開なオプションを表示する方法 - Eiji James Yoshidaの記録

                                                        • 脆弱ぜいじゃく性せい診断しんだん用ように非ひルート化か端末たんまつでも動作どうさするCUIのメモリ改かいざんツール「apk-medit」を作つくった話はなし - Akatsuki Hackers Lab | 株式会社かぶしきがいしゃアカツキ（Akatsuki Inc.)

                                                          こんにちは、セキュリティエンジニアの小竹こだけ 泰一やすいち(aka tkmru)です。 アカツキでは、Webアプリケーション、ゲームアプリに対たいする脆弱ぜいじゃく性せい診断しんだんや社内しゃないネットワークに対たいするペネトレーションテスト、ツール開発かいはつ/検証けんしょうなどを担当たんとうしています。 メモリ改かいざんによるチートとは UI上じょうに表示ひょうじされている値ねを端末たんまつのメモリ上じょうから検索けんさくし、見みつけた値ねを改かいざんすることでチートを行おこなうことができる場合ばあいがあります。 これはゲームのチート方法ほうほうの中なかで最もっとも簡単かんたんな方法ほうほうで、脆弱ぜいじゃく性せい診断しんだんの際さいにも実際じっさいにメモリ上じょうのデータを改かいざんをすることでチートできるかどうか確認かくにんしています。 対策たいさくとしては、XOR等とうを使つかってメモリ上じょうではエンコードされた状態じょうたいで値ねを保持ほじし、UI上じょうに表示ひょうじされている値ねを検索けんさくされても見みつからないようにする方法ほうほうがあります。 作つくったツール apk-meditという脆弱ぜいじゃく性せい診断しんだんのためのAndroidアプリ向むけメモリ改かいざんツールを作成さくせいしました。

                                                            脆弱性診断用に非ルート化端末でも動作するCUIのメモリ改ざんツール「apk-medit」を作った話 - Akatsuki Hackers Lab | 株式会社アカツキ（Akatsuki Inc.)

                                                          • オープンソースソフトウェアの利り活用かつよう及およびそのセキュリティ確保かくほに向むけた管理かんり手法しゅほうに関かんする事例じれい集しゅうを拡充かくじゅうしました （METI/経済けいざい産業さんぎょう省しょう）

                                                            経済けいざい産業さんぎょう省しょうでは、オープンソースソフトウェア（OSS）を利り活用かつようするに当あたって留意りゅういすべきポイントを整理せいりし、そのポイントごとに参考さんこうとなる取組とりくみを実施じっししている企業きぎょうの事例じれい等とうを取とりまとめた「OSSの利り活用かつよう及およびそのセキュリティ確保かくほに向むけた管理かんり手法しゅほうに関かんする事例じれい集しゅう」を拡充かくじゅうしましたので、公開こうかいします。 背景はいけい・趣旨しゅし 経済けいざい産業さんぎょう省しょうでは、令れい和わ元年がんねん9月がつ5日にちに産業さんぎょうサイバーセキュリティ研究けんきゅう会かいワーキンググループ1 （WG1）分野ぶんや横断おうだんサブワーキンググループの下したに、サイバー・フィジカル・セキュリティ確保かくほに向むけたソフトウェア管理かんり手法しゅほう等とう検討けんとうタスクフォース（ソフトウェアタスクフォース）を設置せっちし、適切てきせつなソフトウェアの管理かんり手法しゅほう、脆弱ぜいじゃく性せい対応たいおうやライセンス対応たいおう等とうについて検討けんとうを行おこなってきました。 ソフトウェアタスクフォースでは、多おおくの企業きぎょうがOSSを含ふくむソフトウェアの管理かんり手法しゅほう、脆弱ぜいじゃく性せい対応たいおう等とうに課題かだいを抱かかえている現状げんじょうに対たいし、産業さんぎょう界かいでの知見ちけんの共有きょうゆうが有効ゆうこうであるとの

                                                            • 米べいMicrosoft、ソースコード解析かいせきツール「Application Inspector」を公開こうかい | OSDN Magazine

                                                              米べいMicrosoftは1月がつ16日にち、オープンソースコンポーネントのセキュリティ問題もんだいを分析ぶんせきできるツール「Microsoft Application Inspector」をオープンソースで公開こうかいしたことを発表はっぴょうした。 Microsoft Application Inspectorは静的せいてきにソースを分析ぶんせきするためのコマンドラインツール。.NET Coreで実装じっそうされており、WindowsおよびmacOS、Linuxで動作どうさする。JSONベースで設定せっていできるルールエンジンを利用りようして対象たいしょうを分析ぶんせきし、そのコンポーネントがどのような機能きのうを提供ていきょうしているのか、内部ないぶ的てきにOSやフレームワーク、ライブラリのどのような機能きのうを使つかっているのかを調査ちょうさする。たとえば対象たいしょうのコンポーネントが暗号あんごう化か技術ぎじゅつを使つかっているか、遠隔えんかくとのやりとりを行おこなっているか、どのプラットフォームで動うごいているのかといった情報じょうほうが分わかるという。結果けっかはJSONやHTMLなど様々さまざまな

                                                                米Microsoft、ソースコード解析ツール「Application Inspector」を公開 | OSDN Magazine

                                                              • バグバウンティにおける JavaScript の静的せいてき解析かいせきと動的どうてき解析かいせきまとめ - blog of morioka12

                                                                1. 始はじめに こんにちは、morioka12 です。 本稿ほんこうでは、バグバウンティなどの脆弱ぜいじゃく性せい調査ちょうさで行おこなう、JavaScript の静的せいてき解析かいせきと動的どうてき解析かいせきについてまとめて紹介しょうかいします。 1. 始はじめに 免責めんせき事項じこう 想定そうてい読者どくしゃ 検証けんしょう環境かんきょう 静的せいてき解析かいせきと動的どうてき解析かいせき 2. 静的せいてき解析かいせき (Static Analysis) 2.1 JavaScript File の URL を収集しゅうしゅうする getJS hakrawler getallurls (gau) 2.2 エンドポイントを列挙れっきょする LinkFinder xnLinkFinder katana jsluice endext 2.3 シークレット情報じょうほうを検出けんしゅつする SecretFinder jsluice Mantra trufflehog 2.4 潜在せんざい的てきな脆弱ぜいじゃく性せい情報じょうほうを検出けんしゅつする Retire.js ESLint 3. 動的どうてき解析かいせき (Dynamic Analysis) DevTool

                                                                  バグバウンティにおける JavaScript の静的解析と動的解析まとめ - blog of morioka12

                                                                • Secure Coding with IDE Plugins | IDE Security Plugins | Snyk

                                                                  Snyk adds security directly into your IDE with real-time vulnerability scanning of code, open source libraries, containers, and cloud infrastructure — and provides actionable fix advice in-line so you can fix quickly and move on.

                                                                  • 今日きょうからできるサイバー脅威きょういインテリジェンスの話はなし-実践じっせん編へん- - NFLabs. エンジニアブログ

                                                                    本ほん記事きじは『今日きょうからできるサイバー脅威きょういインテリジェンスの話はなし-導入どうにゅう編へん-』の続つづきであり、具体ぐたい的てきなサイバー脅威きょうい情報じょうほうの収集しゅうしゅう方法ほうほうやプラットフォームについて紹介しょうかいする記事きじです。 『サイバー脅威きょういインテリジェンスって何なに?』という方ほうがいらっしゃれば前まえの記事きじを参考さんこうにしてください。 Let's CTI 私わたしが個人こじんレベルでやっている CTI の活動かつどうを分類ぶんるいしてみると、以下いかの3つの方法ほうほうになると思おもいます。 無料むりょうで利用りようできるインテリジェンスサービス・データベースを活用かつようする オンラインサンドボックスを活用かつようする SNS や外部がいぶのコミュニティを利用りようする それぞれ長所ちょうしょやカバーできる領域りょういきが異ことなるので、自分じぶんの興味きょうみや組織そしきの CTI の目的もくてきに合あわせてどの方法ほうほうを取とるべきか検討けんとうしてみると良よいでしょう。 では、詳細しょうさいに説明せつめいしていきます。 1. 無料むりょうで利用りようできるインテリジェンスサービス・データベースを活用かつようする 世よの中なかには優秀ゆうしゅうなインテリジェンス分析ぶんせき者しゃがた

                                                                      今日からできるサイバー脅威インテリジェンスの話-実践編- - NFLabs. エンジニアブログ

                                                                    • GitHub - step-security/github-actions-goat: GitHub Actions Goat: Deliberately Vulnerable GitHub Actions CI/CD Environment

                                                                      You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

                                                                        GitHub - step-security/github-actions-goat: GitHub Actions Goat: Deliberately Vulnerable GitHub Actions CI/CD Environment

                                                                      • プログラミング言語げんごのパッケージ管理かんりツールに潜ひそむ危険きけん性せい

                                                                        NECサイバーセキュリティ戦略せんりゃく本部ほんぶ セキュリティ技術ぎじゅつセンター インテリジェンスチームの郡司ぐんじです。今週こんしゅうのセキュリティブログでは、プログラミング言語げんごのパッケージ管理かんりツールに潜ひそむ危険きけん性せいに関かんする話題わだいをお届とどけします。 最近さいきんのプログラミング言語げんごにはたいてい「パッケージ管理かんりツール（およびパッケージリポジトリサービス）」があります。自分じぶんが作成さくせいしたライブラリをパッケージという形かたちにまとめてリポジトリに公開こうかいしたり、逆ぎゃくに他人たにんが作成さくせいしたライブラリをリポジトリからパッケージとして追加ついかしたりといったことが簡単かんたんにできるプラットフォームが提供ていきょうされています。たとえばプログラミング言語げんごPythonではPyPI[1] 、Node.jsではnpm [2]、RubyではRubyGems [3]などです。自分じぶんが欲ほしいと思おもっている機能きのうを誰だれかがすでに実装じっそうしてパッケージとして公開こうかいしているのであれば、機能きのうを一いちから開発かいはつしなくても、誰だれかが作つくったパ

                                                                          プログラミング言語のパッケージ管理ツールに潜む危険性

                                                                        • PGP(GnuPG)の導入どうにゅう方法ほうほう教おしえてやるから、いい加減かげん、ファイルをZIP暗号あんごう化かして、別べつメールでパスワードを送おくるのは、やめてくれ！ ～ファイル添付てんぷ編へん～ - Qiita

                                                                          PGP(GnuPG)の導入どうにゅう方法ほうほう教おしえてやるから、いい加減かげん、ファイルをZIP暗号あんごう化かして、別べつメールでパスワードを送おくるのは、やめてくれ！ ～ファイル添付てんぷ編へん～WindowsemailPGP暗号あんごう化かGnuPG 久ひさしぶりの更新こうしんです。 前回ぜんかいは、ちょっと脱線だっせんしてしまいました 「PGP(GnuPG)の導入どうにゅう方法ほうほう教おしえてやるから、いい加減かげん、ファイルをZIP暗号あんごう化かして、別べつメールでパスワードを送おくるのは、やめてくれ！～公開こうかいキー配布はいふ編へん～ - Qiita」では、キー配布はいふ編へんになってしまい、肝心かんじんのファイル添付てんぷのことが書かけませんでした。 ということで、今回こんかいは、本題ほんだいのファイル添付てんぷ編へんを行おこないたいと思おもいます。 セットアップ編へんでは、たくさんのいいねやシェアをありがとうございます 「PGP(GnuPG)の導入どうにゅう方法ほうほう教おしえてやるから、いい加減かげん、ファイルをZIP暗号あんごう化かして、別べつメールでパスワードを送おくるのは、やめてくれ！ ～セットアップ編へん～ - Qiita

                                                                            PGP(GnuPG)の導入方法教えてやるから、いい加減、ファイルをZIP暗号化して、別メールでパスワードを送るのは、やめてくれ！ ～ファイル添付編～ - Qiita

                                                                          • GitHub - eystsen/pentestlab: Fast and easy script to manage pentesting training apps

                                                                            You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

                                                                              GitHub - eystsen/pentestlab: Fast and easy script to manage pentesting training apps

                                                                            • Decompiler Explorer

                                                                              Upload File Your file must be less than 2MB in size. Uploaded binaries are retained.

                                                                              • vulnhub調査ちょうさメモ - 高林たかばやしの雑記ざっきブログ

                                                                                自分じぶん用ように雑ざつに解とく際さいの手法しゅほうとかをまとめました。 文字数もじすうの都合つごう上じょう、WindowsのPrivilegeEscalationと調査ちょうさの方針ほうしんは以下いかに載のせなおしました。 kakyouim.hatenablog.com 2020 3/4追記ついき Privilege Escalationをまとめた記事きじを新あたらしく作成さくせいしたので、ここに書かいていたLinux PEは以下いかを参照さんしょうしてください。 kakyouim.hatenablog.com ネットワークの調査ちょうさ IPアドレスの調査ちょうさ 脆弱ぜいじゃく性せいスキャン 脆弱ぜいじゃく性せいの調査ちょうさ Webサービスの調査ちょうさ 手動しゅどうで調査ちょうさ ディレクトリブルートフォース その他た tomcatの調査ちょうさ axis2の調査ちょうさ スキャナを用もちいた調査ちょうさ その他たのサービスの調査ちょうさ sshの調査ちょうさ RDPの調査ちょうさ 変へんなポートの調査ちょうさ snmp(udp161)の調査ちょうさ telnet(23)の調査ちょうさ domain(53)の調査ちょうさ smtp(25)の調査ちょうさ pop

                                                                                  vulnhub調査メモ - 高林の雑記ブログ

                                                                                • 組織そしき管理かんり機能きのうと検査けんさ項目こうもくを増強ぞうきょうしたVAddyエンタープライズプランをリリース！ - クラウド型がたWeb脆弱ぜいじゃく性せい診断しんだんツール VAddyブログ

                                                                                  VAddyの事業じぎょう責任せきにん者しゃの市川いちかわです。 VAddyは、誰だれでも手軽てがるに使つかえて自動じどう化かもできるクラウド型がたの脆弱ぜいじゃく性せい診断しんだんツールとして開発かいはつをし、5年間ねんかん運用うんようしてきました。様々さまざまなWebアプリケーションの検査けんさに対応たいおうできるようにチューニングし続つづけ、加くわえてプライベートネット版ばん対応たいおう、シングルサインオン認証にんしょうアプリ対応たいおう、SPA向むけの複数ふくすうFQDN対応たいおうなどを行おこなってきました。今いままでは、よりうまく検査けんさを行おこなう方向ほうこうでの改善かいぜんを続つづけてきていて、今後こんごもこの方向ほうこうは変かわりません。 この1年ねんぐらいで世よの中なかの流ながれが少すこし変かわってきたかなと感かんじるようになりました。組織そしき内ないのアカウント管理かんりでしっかりした運用うんようをしている企業きぎょうでは、VAddyのチーム機能きのうでは不十分ふじゅうぶんなケースや、検査けんさ項目こうもくをもう少すこし増ふやして欲ほしいという要望ようぼうが目立めだってきました。今回こんかいのエンタープライズプランは、そのような組織そしき向むけに最適さいてきなプランになっています。 検査けんさ項目こうもくの増強ぞうきょう VAddyの既存きそんプラン（Pr

                                                                                    組織管理機能と検査項目を増強したVAddyエンタープライズプランをリリース！ - クラウド型Web脆弱性診断ツール VAddyブログ
                                                                                  1 2 次つぎのページ

                                                                                  新着しんちゃく記事きじ

                                                                                  はてなブックマーク

                                                                                  公式こうしきTwitter

                                                                                  はてなのサービス

                                                                                  • App Storeからダウンロード
                                                                                  • Google Playで手に入れよう
                                                                                  Copyright © 2005-2024 Hatena. All Rights Reserved.